Le librerie Java da cui dipendono molte applicazioni aziendali hanno ricevuto oltre 400 correzioni per vulnerabilità precedentemente sconosciute, sviluppate da IBM e Red Hat attraverso Lightwell e adattate anche alle versioni meno recenti del software. Al risultato si affianca la disponibilità generale di Lightwell Clearinghouse, il servizio che permette ai clienti enterprise di richiedere l’analisi e la correzione prioritaria di specifiche dipendenze open source.
Il problema affrontato da Lightwell riguarda la sicurezza delle componenti software che sostengono applicazioni critiche e che spesso restano in produzione per anni. Gli agenti di intelligenza artificiale autonomi possono combinare più debolezze considerate singolarmente a basso rischio per costruire attacchi più gravi: per le imprese diventa quindi essenziale disporre di un processo capace di sviluppare, testare e distribuire le correzioni sulle versioni effettivamente utilizzate.
Correzioni sulle versioni già in produzione
Gli strumenti di sicurezza individuano potenziali problemi, ma per eliminare il rischio occorrono patch compatibili con il software in esercizio, introducibili senza interrompere le attività aziendali. Il lavoro di IBM e Red Hat ha incluso il backport delle correzioni, cioè l’adattamento delle patch alle versioni precedenti delle librerie, così da intervenire anche sulle release che continuano a essere impiegate nei sistemi produttivi.
Le oltre 400 vulnerabilità individuate e risolte riguardano software ampiamente diffusi in produzione. Il risultato evidenzia la necessità di una manutenzione continua anche per basi di codice mature, mentre l’evoluzione delle minacce modifica le possibilità di sfruttamento dei difetti. Su queste componenti fondamentali IBM e Red Hat stanno concentrando le proprie risorse ingegneristiche per ridurre l’esposizione dei sistemi enterprise.
“Gli agenti AI hanno cambiato il panorama delle minacce da un giorno all’altro, sfruttando vecchie dipendenze a velocità di calcolo. Non importa se una codebase ha dieci anni di vita o è considerata stabile: basta una piccola crepa per generare un attacco”, commenta Gunnar Hellekson, vice president e general manager, Lightwell, Red Hat.
Il progetto si inserisce nell’impegno da 5 miliardi di dollari annunciato da IBM e Red Hat il 28 maggio, sostenuto da capacità AI e da una forza globale di oltre 20.000 ingegneri. Il modello di Project Lightwell collega la manutenzione dei progetti originari alle esigenze delle applicazioni aziendali, con correzioni destinate alle specifiche versioni in uso.
Come vengono sviluppate e distribuite le patch
Lightwell combina le competenze ingegneristiche open source di IBM e Red Hat con le relazioni di Red Hat con le comunità di sviluppo, i flussi di lavoro ingegneristici supportati dall’AI e le capacità dell’azienda nella sicurezza della supply chain software, la catena di componenti e processi attraverso cui il codice viene realizzato e distribuito. A queste si aggiungono le infrastrutture di build, che trasformano il codice sorgente in pacchetti software utilizzabili.
Questa struttura sviluppa rapidamente correzioni specifiche per ciascuna versione delle dipendenze open source impiegate nelle applicazioni in produzione. Le patch vengono distribuite attraverso repository sicuri integrati con i processi IT esistenti, consentendo alle organizzazioni di affrontare vulnerabilità complesse o precedentemente sconosciute continuando a utilizzare i propri scanner di sicurezza, repository software, pipeline di sviluppo e processi di test.
“Trovare quei bug è solo metà dell’opera: il vero lavoro è applicare i fix direttamente nelle app di produzione attive, anche in modo retroattivo, in modo che i clienti non debbano più scegliere tra sicurezza e uptime. Trovare e neutralizzare oltre 400 vulnerabilità inedite così rapidamente dimostra la velocità con cui Lightwell può operare. E siamo solo all’inizio.”, aggiunge Hellekson.
Network e Clearinghouse per la gestione delle vulnerabilità
Attraverso Lightwell Network, i team IT accedono a patch verificate, inseriscono il software corretto nei flussi di lavoro già adottati e possono organizzare un processo continuo di gestione delle vulnerabilità. La disponibilità generale di Lightwell Clearinghouse aggiunge un canale diretto attraverso cui i clienti segnalano a IBM e Red Hat specifiche vulnerabilità open source e indicano le dipendenze da sottoporre a valutazione prioritaria, richiedendo correzioni applicabili anche a versioni meno recenti ancora in uso.
Le correzioni sviluppate attraverso Lightwell vengono condivise con i progetti open source upstream, ossia i progetti originari da cui derivano le componenti utilizzate dalle aziende, nel rispetto dei protocolli di divulgazione responsabile. Il coordinamento permette di estendere i benefici delle patch all’ecosistema open source mantenendo le tutele legate all’embargo per i partecipanti a Clearinghouse, con la gestione riservata delle informazioni sulle vulnerabilità prima della divulgazione pubblica.
